Indépendamment des débats afférents aux choix gouvernementaux, la stratégie vaccinale présentée au début du mois de décembre 2020, repose sur trois principes : caractère non obligatoire, gratuité et haute sécurité.

C’est notamment pour assurer une traçabilité renforcée de l’acte vaccinal et faciliter l’organisation de la distribution et de l’administration des doses de vaccin sur le territoire, qu’a été créé le nouveau traitement de données personnelles relatif aux vaccinations contre la Covid-19. Dénommé système d’information « Vaccin Covid » et ouvert le 4 janvier 2020, il a été spécialement conçu pour accompagner la mise en œuvre, le suivi et le pilotage des campagnes vaccinales, mais il n’a pas vocation à être étendu à d’autres vaccinations que celle contre le SARS-CoV-2.

Pris après avis de la CNIL [2], qui a clairement indiqué qu’elle serait vigilante sur la mise en oeuvre du traitement et qu’elle exercerait son pouvoir de contrôle, le décret du 25 décembre 2020 [3] en précise les modalités de fonctionnement du traitement de données.

Fonctionnement du dispositif.

Les personnes répondant aux critères d’éligibilité (liste élaborée par le ministre chargé de la Santé après avis de la Haute Autorité de santé (HAS), reçoivent un bon de vaccination, accompagné d’une mention d’information conforme aux exigences du RGPD. Le système d’information, dont l’utilisation est obligatoire, permet alors de suivre pas à pas l’acte de vaccination.
Le professionnel de santé, dûment identifié (carte CPS ou e-CPS, pour une authentification forte, sur amelipro ou Pro Sante Connect) se connecte à l’interface, identifie le patient (code patient sur le bon de vaccination ou numéro NIR, notamment pour les patients non invités, mais dont la situation médicale justifie la vaccination).
À chaque étape (information pré-vaccinale, 1re injection, 2nde injection), le professionnel de santé complète le formulaire concerné, qui est en partie pré-rempli. Un récapitulatif est établi et enregistré avant d’être télétransmis à l’Assurance Maladie.
Entre chaque injection, il est possible d’effectuer une déclaration des effets indésirables éventuellement observés, avec le lien vers le portail des signalements de l’Agence nationale de sécurité des médicaments (ANSM).
En fin de vaccination, le bilan de la vaccination peut être imprimé, signé et remis au patient à qui il servira de certificat de vaccination.
Un accompagnement des structures et des professionnels de santé a été mis en place pour faciliter l’utilisation du système (tutoriels, supports explicatifs, plateformes téléphoniques, tests avant connexion, campagnes d’informations, etc.).

(cliquez sur l’image pour l’agrandir)

Finalités du traitement de données à caractère personnel.

Ce nouveau traitement de données à caractère personnel a plusieurs finalités, afin d’organiser :
 la vaccination des personnes : identification des personnes éligibles (CSP, art. L3111-1), envoi de bons de vaccinations, enregistrement des informations relatives à la consultation préalable à la vaccination et organisation de la vaccination ;
 le suivi et l’approvisionnement en vaccins et consommables ;
 la production d’informations à destination des personnes vaccinées (récapitulatif établi par le professionnel de santé réalisant la vaccination ou par le personnel placé sous sa responsabilité) ;
 la mise à disposition de données relatives à la vaccination à des fins de calcul d’indicateurs et de recherche (offre de vaccination, surveillance de la couverture vaccinale, mesure de l’efficacité et de la sécurité vaccinales, pharmacovigilance, suivi statistique de la campagne de vaccination, appui à l’évaluation de la politique publique de vaccination et réalisation d’études et de recherches) ;
 un suivi de pharmacovigilance : délivrance de l’information aux personnes vaccinées en cas d’apparition d’un risque nouveau (CSP, art. L. 111-2) et, le cas échéant, leur orientation vers un parcours de soins adaptés ;
 la prise en charge financière des actes liés à la vaccination.

Données collectées.

Les données à caractère personnel et informations enregistrées dans le traitement et les destinataires des données enregistrées sont précisées respectivement à l’article 2 et à l’article 3 du décret du 25 décembre 2020.

Information et droits de la personne concernées.

L’information sur la collecte des données personnelles, prévues aux articles 13 et 14 du RGPD sont expressément prévue à l’article 4 du décret.
L’article 5 précise quant à lui que les droits d’accès et de rectification, ainsi que le droit à la limitation, s’exercent auprès du directeur de l’organisme d’Assurance maladie de rattachement de la personne concernée (dans les conditions des articles 15, 16 et 18 du RGPD sont expressément prévue à l’article 4).
Toutefois, le droit à l’effacement ne s’applique pas compte tenu des motifs d’intérêt public (art. 17.3, c du RGPD).